What is CVE-2026-65904?
CVE-2026-65904 is a vulnerability in DOMPurify up to version 3.3.3 where DOM elements passed via the IN_PLACE mode are not properly sanitized if they originate from a different window or realm (e.g., an iframe's contentDocument). The `_isNode()` function's cross-realm `instanceof` check returns false for foreign-realm nodes, causing DOMPurify to skip sanitization. Users should update to the latest version immediately.
Azərbaycanca: CVE-2026-65904 DOMPurify 3.3.3-ə qədər versiyalarda IN_PLACE rejimi ilə ötürülən DOM elementlərinin sanitizasiyasında zəiflikdir. Xüsusilə, xarici pəncərədən (məsələn, iframe) gələn elementlər üçün `_isNode()` funksiyasındakı cross-realm `instanceof` yoxlaması yanlış nəticə qaytarır ki, bu da zərərli məzmunun keçməsinə səbəb ola bilər. Təsirə məruz qalan tətbiqlərdə təcili olaraq DOMPurify-i ən son versiyaya yeniləmək tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-79
FAQ2
What versions of DOMPurify are affected by CVE-2026-65904?
CVE-2026-65904 affects DOMPurify up to version 3.3.3.
What is the root cause of the CVE-2026-65904 vulnerability in DOMPurify?
The vulnerability is caused by the `_isNode()` function's cross-realm `instanceof` check returning false for DOM elements originating from a different window or realm (e.g., an iframe).
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.